Cómo implementar el SARLAFT transporte en empresas de Colombia (Guía 2026 paso a paso)

Entender el negocio y sus riesgos (diagnóstico SARLAFT)

El SARLAFT parte de un principio fundamental: no se puede gestionar lo que no se conoce. El primer paso es siempre el diagnóstico e identificación.

1.1 Definir el alcance del sistema

El documento de alcance responde tres preguntas críticas que deben quedar por escrito en la Política SARLAFT:

• ¿Qué razones sociales y empresas del grupo están cubiertas?
• ¿Qué líneas de negocio se incluyen? (carga, pasajeros, especial, escolar, mensajería, logística)
• ¿Qué sedes, agencias, patios, terminales y canales entran al sistema?

1.2 Identificar factores de riesgo LA/FT/FP

• Clientes y usuarios (cargadores, pasajeros, contratantes)
• Productos y servicios ofrecidos
• Canales de comercialización y recaudo
• Zonas geográficas y rutas críticas
• Flota propia vs. flota tercerizada
• Aliados comerciales y convenios
• Tipo de carga y características de las rutas

1.3 Mapear actores y procesos críticos

• Vinculación de clientes y contrapartes
• Contratación de servicios de transporte
• Recaudo y manejo de efectivo
• Pagos a terceros y propietarios de vehículos
• Operación de rutas y manejo de carga

Diseñar la metodología y la matriz de riesgos LA/FT/FP

Una vez conoce su realidad, necesita una metodología aprobada por la Alta Dirección para evaluar el riesgo de manera objetiva y documentada.

2.1 Definir la metodología de medición

• Probabilidad: baja, media, alta (con criterios claros para cada nivel)
• Impacto: bajo, medio, alto (efecto legal, reputacional, operativo y económico)
• Riesgo inherente: fórmula o tabla de combinación probabilidad × impacto
• Riesgo residual: nivel de riesgo una vez aplicados los controles existentes

2.2 Construir y diligenciar la matriz de riesgos

• Listar cada riesgo por proceso, factor y tipo de contraparte
• Asignar probabilidad e impacto con sustento documental
• Calcular el nivel inherente y el residual
• Clasificar: bajo, medio, alto o extremo

2.3 Niveles de aceptación y priorización

• Definir a partir de qué nivel un riesgo es aceptable sin controles adicionales
• Establecer desde qué nivel requiere mitigación prioritaria
• Determinar cuándo se escala a la Alta Dirección

Definir gobierno y controles SARLAFT

Aquí pasa del "papel" a la estructura organizacional y los controles concretos. Sin gobierno real, las matrices quedan como documentos sin efecto.

3.1 Estructura de gobierno

• Política SARLAFT firmada y aprobada por la Alta Dirección
• Designación formal del Oficial de Cumplimiento (y su suplente) con independencia funcional
• Comité SARLAFT (en empresas medianas y grandes) con actas periódicas
• Roles y responsabilidades documentadas por área

3.2 Controles sobre los cuatro factores de riesgo

Clientes y contrapartes:

• Procedimientos de vinculación y debida diligencia del cliente (DDC)
• Validación en listas de control (sanciones, PEP, OFAC, ONU)
• Segmentación de clientes por nivel de riesgo
• Debida Diligencia Intensificada (DDI) para clientes de mayor riesgo

Productos y servicios:

• Límites de montos y condiciones para operaciones inusuales
• Requisitos documentales mínimos: contratos, manifiestos, soportes de carga

Zonas geográficas y rutas:

• Identificación de rutas y zonas de alto riesgo LA/FT
• Controles reforzados: más validaciones, limitaciones, autorizaciones adicionales

Operación, monitoreo y mejora continua

La última fase garantiza que todo lo anterior funcione en la práctica y evolucione con el negocio y la normativa.

4.1 Monitoreo de operaciones

• Definir qué constituye una operación inusual en el contexto de transporte
• Establecer frecuencia de revisión según volumen operacional
• Documentar todas las revisiones con fecha, responsable y resultado

4.2 Gestión de alertas y ROS a la UIAF

1. Procedimiento claro para que cualquier área reporte alertas al Oficial de Cumplimiento
2. Protocolo de análisis de la alerta con tiempos definidos
3. Criterios para archivar, escalar o convertir en ROS a la UIAF
4. Conservación de evidencia del análisis y la decisión tomada

4.3 Revisión y actualización

• Revisar la matriz de riesgos mínimo una vez al año
• Actualizar ante cambios: nueva normatividad, nuevas rutas, nuevos productos
• Incluir SARLAFT en el plan de auditoría interna o revisoría fiscal
• Generar planes de mejora documentados con responsables y fechas